Las nuevas vulnerabilidades del firmware UEFI de Lenovo afectan a millones de computadoras portátiles

AS-042-2022

Fecha: 21/Abr/2022

Resumen:

Descubiertas tres vulnerabilidades de seguridad de alto impacto de la Interfaz de Firmware Extensible Unificada (UEFI) que afectan a varios modelos de computadoras portátiles de Lenovo, lo que permite a los actores maliciosos implementar y ejecutar implantes de firmware en los dispositivos afectados. Rastreados como CVE-2021-3970, CVE-2021-3971 y CVE-2021-3972, estos dos últimos afectan a los controladores de firmware originalmente destinados a ser utilizados solo durante el proceso de fabricación de los portátiles de consumo de Lenovo, según lo indicado por el investigador de ESET Martin Smolár en un informe publicado.

A las debilidades, que afectan a Lenovo Flex; IdeaPads; Legión; Series V14, V15 y V17; y las computadoras portátiles Yoga, se suman a la divulgación de hasta 50 vulnerabilidades de firmware UEFI en InsydeH2O, HP y Dell de Insyde Software desde principios de año.

La explotación exitosa de las fallas podría permitir a un atacante deshabilitar las protecciones flash SPI o el arranque seguro, otorgando efectivamente al adversario la capacidad de instalar malware persistente que puede sobrevivir a los reinicios del sistema. Las amenazas UEFI pueden ser extremadamente sigilosas y peligrosas.

Recomendación.

Los parches han sido emitidos a partir del 12 de abril de 2022. Actualice el firmware del sistema a la versión más reciente indicada para su modelo.

Referencias:

https://www.ghacks.net/2022/04/20/millions-of-lenovo-devices-affected-by-bios-vulnerability/
https://thehackernews.com/2022/04/new-lenovo-uefi-firmware.html